1　項目簡(jiǎn)介

1.1　項目背景

在大量采用DCS控制現代化的石化裝置中，控制回路占總回路數的80%～90%。

DCS（DistributedControl System）集散控制系統，它是一個(gè)由過(guò)程控制級和過(guò)程監控級組成的以通信網(wǎng)絡(luò )為紐帶的多級計算機系統，其基本思想是分散控制、集中操作、分級管理、配置靈活、組態(tài)方便，取得了令人矚目的成就。PLC（Programmer Logic Controller）稱(chēng)為可編程序邏輯控制器，它是按照成熟而有效的繼電器控制概念和設計思想，利用不斷發(fā)展的新技術(shù)、新電子器件，逐步形成了具有特色的各種系列產(chǎn)品，是一種數字運算操作的專(zhuān)用電子計算機。根據我國具體情況而言，石油化工領(lǐng)域DCS系統，霍尼韋爾、橫河、艾默生、ABB等國外廠(chǎng)商占據50%以上份額，浙江中控、和利時(shí)等國內廠(chǎng)商主要活躍在中小化工行業(yè)；我國大中型PLC市場(chǎng)被羅克韋爾自動(dòng)化、施耐德電氣和西門(mén)子等國外廠(chǎng)商占據99%以上份額。

南通星辰主要生產(chǎn)裝置DCS控制系統建設情況如下：PBT裝置DCS系統為橫河CENTUM-CS3000；雙酚A裝置DCS系統為橫河CENTUM-CS3000；環(huán)氧樹(shù)脂裝置DCS系統為浙大中控ECS100；動(dòng)力裝置共用5套西門(mén)子S7-300PLC系統，分別用于供熱站、冷凍站、循環(huán)水站、熱煤站以及環(huán)氧三效；其余輔助生產(chǎn)裝置還用了歐姆龍、ABB、三菱電機自動(dòng)化、和利時(shí)等PLC。綜上所述，南通星辰的工業(yè)控制系統是中國化工集團，乃至中國化工行業(yè)的縮影：生產(chǎn)裝置均采用DCS和PLC數字化控制手段，但鑒于項目建設配套工藝包中相關(guān)要求，DCS和PLC的品牌多種多樣、五花八門(mén)。

南通星辰化工生產(chǎn)控制系統安全防護項目還具有極強的示范意義和示范效果。以南通星辰所屬的中國藍星（集團）股份有限公司為例，其DCS規模和品牌占有率很高，通過(guò)完成南通星辰DCS和PLC控制系統安全防護示范工程，由于其所涉及的日本橫河DCS、浙大中控DCS和西門(mén)子PLC系統在中國藍星乃至中國化工集團占據了半壁江山，因此在系統內具有極強的推廣價(jià)值。同時(shí)，在中國的石油化工領(lǐng)域，橫河、浙江中控、和利時(shí)和西門(mén)子的DCS與PLC工業(yè)控制系統占據較大市場(chǎng)份額，項目的研究成果還能夠進(jìn)一步推廣至全國石化領(lǐng)域。

1.2　項目目標及規模內容

1.2.1　項目目標

針對南通星辰工業(yè)控制系統種類(lèi)多品牌雜、總線(xiàn)協(xié)議復雜多樣和實(shí)時(shí)性要求高的現狀，基于工控信息安全等級保護的思想，以化工生產(chǎn)裝置的安全、穩定、可靠運行為核心，綜合運用邊界防護、訪(fǎng)問(wèn)控制、主機安全等技術(shù)手段，有效整合不同層面的安全技術(shù)，建成一個(gè)符合等保三級的信息安全技術(shù)防護體系?；谒⒌男畔踩夹g(shù)防護體系，制定一套工控安全管理制度，形成一套化工領(lǐng)域工控系統安全標準。最終，南通星辰化工生產(chǎn)控制系統安全防護示范工程將使該企業(yè)的工控信息安全防護等級達到等保三級的主要要求，從而為化工行業(yè)生產(chǎn)控制系統提供一套信息安全防護解決方案，并起到相應的示范作用。

1.2.2　項目?jì)热?/p>

基于上述所制定的項目目標，南通星辰化工生產(chǎn)控制系統安全防護示范工程將完成以下內容：

（1）南通星辰化工生產(chǎn)裝置控制系統安全防護實(shí)施方案、設備選型和集成方案論證；

（2）測試環(huán)境下的邊界防護與訪(fǎng)問(wèn)控制；

（3）測試環(huán)境下的主機應用安全；

（4）南通星辰化工生產(chǎn)控制系統邊界防護與訪(fǎng)問(wèn)控制；

（5）南通星辰化工生產(chǎn)控制系統主機應用安全；

（6）建立南通星辰化工生產(chǎn)控制系統安全管理平臺；

（7）建立基于生產(chǎn)執行系統（MES）、管理系統與工業(yè)控制系統相結合的安全防護體系；

（8）制定化工行業(yè)內相關(guān)生產(chǎn)控制系統安全防護標準。

上述項目?jì)热輰⑸婕澳壳澳贤ㄐ浅焦綪BT裝置、雙酚A裝置、環(huán)氧樹(shù)脂裝置和動(dòng)力車(chē)間共涉及生產(chǎn)線(xiàn)30余條，通過(guò)15套DCS系統和20套PLC控制系統進(jìn)行控制，包括：150余套控制站，20套現場(chǎng)總線(xiàn)系統，20套工業(yè)以太網(wǎng)，100余套工業(yè)交換機，10套實(shí)時(shí)數據庫服務(wù)器，35套工程師站，100余套操作員站。通過(guò)該項目的實(shí)施和工程應用，實(shí)現對上述工業(yè)過(guò)程控制系統安全防護。

2　項目建設的必要性和需求分析

2.1　項目建設的必要性

石油化工領(lǐng)域DCS系統，被霍尼韋爾、橫河、艾默生、ABB等國外廠(chǎng)商占據50%以上份額。2011年工信部發(fā)布了《關(guān)于加強工業(yè)控制系統安全管理的通知》，明確了重點(diǎn)領(lǐng)域工業(yè)控制系統信息安全管理要求，對連接、組網(wǎng)、配置、設備選擇與升級、數據、應急等管理方面提出了明確要求。

隨著(zhù)網(wǎng)絡(luò )技術(shù)的迅猛發(fā)展，工業(yè)控制系統不再是一個(gè)自我封閉的孤島，南通星辰工業(yè)控制系統通過(guò)工業(yè)以太網(wǎng)與MES系統、ERP系統和企業(yè)集團管理系統相連，工業(yè)控制系統已經(jīng)成為整個(gè)網(wǎng)絡(luò )世界的一個(gè)“子站”。綜上所述，南通星辰在其化工生產(chǎn)裝置DCS/PLC系統以及即將新建的先進(jìn)控制系統（APC）均需要對信息安全進(jìn)行防護，信息安全是實(shí)現裝置“安、穩、長(cháng)、滿(mǎn)、優(yōu)”運行的必要手段，是保障站點(diǎn)重大危險源處于絕對安全可控狀態(tài)的重要手段。

2.2　項目建設需求分析

2.2.1　南通星辰化工生產(chǎn)控制系統現狀

南通星辰所擁有的生產(chǎn)規模位居亞洲第一的6萬(wàn)噸/年P(guān)BT樹(shù)脂和4萬(wàn)噸/年改性工程塑料生產(chǎn)裝置、9萬(wàn)噸/年雙酚A生產(chǎn)裝置和產(chǎn)量位居全國第一的5萬(wàn)噸/年環(huán)氧樹(shù)脂生產(chǎn)裝置均具有復雜的生產(chǎn)工藝和流程。其控制系統包括：

（1）分布式控制系統（DCS）

南通星辰生產(chǎn)裝置DCS系統特點(diǎn)如下：

·開(kāi)放的網(wǎng)絡(luò )結構：采用Windows XP標準操作系統，支持DDE/OPC；

·高可靠性：采用了4CPU冗余容錯技術(shù)的現場(chǎng)控制站，實(shí)現了在任何故障及隨機錯誤產(chǎn)生的情況下進(jìn)行糾錯與連續不間斷控制；

·高速的控制總線(xiàn)：CS3000采用橫河公司的V-NET/IP控制總線(xiàn)，該控制總線(xiàn)速度可高達1Gbps；

·現場(chǎng)控制站的高效性：控制站FCS采用高速RISC處理器VR5432，可進(jìn)行64位浮點(diǎn)運算，具有強大的運算和處理功能，可以實(shí)現多變量控制，模型預測控制，模糊邏輯等多種高級控制功能；

·高效的工程化方法：CENTUM CS3000采用ControlDrawing圖進(jìn)行軟件設計及組態(tài)，使方案設計及軟件組態(tài)同步進(jìn)行，最大限度地簡(jiǎn)化了軟件開(kāi)發(fā)流程；

·可擴展性：具有構造大型實(shí)時(shí)過(guò)程信息網(wǎng)的拓撲結構，可以構成多工段，多集控單元，全廠(chǎng)綜合管理與控制綜合信息自動(dòng)化系統。

（2）可編程邏輯控制器（PLC）

PLC系統完成動(dòng)力裝置的所有過(guò)程控制、工藝參數顯示、設備運行狀態(tài)監測及故障報警、生產(chǎn)數據存儲及分析、報表打印等功能。

PLC具有穩定可靠、價(jià)格便宜、功能齊全、應用靈活方便、操作維護方便的優(yōu)點(diǎn)，這是它能持久占有市場(chǎng)的根本原因。

2.2.2　南通星辰信息化建設和應用現狀

除生產(chǎn)控制系統外，南通星辰基于美國OSIsoft公司實(shí)時(shí)數據庫軟件產(chǎn)品PI System建立了生產(chǎn)運營(yíng)管理系統。通過(guò)實(shí)時(shí)采集各DCS生產(chǎn)控制系統和PLC系統的生產(chǎn)數據，建立統一、安全穩定、開(kāi)放集成的實(shí)時(shí)數據庫平臺，在獲得精確、實(shí)時(shí)數據的基礎上，企業(yè)能夠實(shí)時(shí)監控設備運行，動(dòng)態(tài)掌握生產(chǎn)過(guò)程，在線(xiàn)模擬流程和過(guò)程優(yōu)化，及提高應急響應速度等，也能夠實(shí)現總部對企業(yè)的遠程監控，協(xié)調和指揮，從而大大提高生產(chǎn)管理的智能化程度，為精細化管理和運營(yíng)管控提供堅實(shí)基礎。

處于辦公網(wǎng)的生產(chǎn)運營(yíng)管理系統所需采集生產(chǎn)網(wǎng)數據，根據網(wǎng)絡(luò )拓撲結構圖所示，為了保證數據安全，目前辦公網(wǎng)與生產(chǎn)網(wǎng)使用一臺防火墻進(jìn)行隔離。生產(chǎn)運營(yíng)管理系統網(wǎng)絡(luò )拓撲結構如圖1所示。

圖1 南通星辰生產(chǎn)運營(yíng)管理系統網(wǎng)絡(luò )拓撲結構圖

2.2.3　南通星辰存在信息安全問(wèn)題描述

目前對于工業(yè)控制網(wǎng)絡(luò )常用的攻擊手段如圖2所示，通過(guò)偵測網(wǎng)絡(luò )、掃描端口、枚舉協(xié)議漏洞等一系列手段，最終通過(guò)病毒破壞工控系統中的各類(lèi)操作站（普通PC或服務(wù)器）的操作系統，甚至感染工控系統中的控制單元（PLC）。將前述南通星辰PBT裝置、雙酚A裝置、環(huán)氧樹(shù)脂裝置的DCS系統和動(dòng)力車(chē)間PLC系統進(jìn)行抽象，再結合目前工控網(wǎng)絡(luò )與其他信息系統集成應用的實(shí)際情況，形成如圖3所示的南通星辰可能面臨的網(wǎng)絡(luò )攻擊和存在的信息安全隱患。

圖2 對于工業(yè)控制網(wǎng)絡(luò )常用的攻擊手段

圖3 南通星辰面臨的潛在信息安全風(fēng)險整體分析

綜上所述，工業(yè)控制網(wǎng)絡(luò )安全是信息化推進(jìn)中出現的新問(wèn)題，只能在發(fā)展的過(guò)程中用發(fā)展的方式加以解決。不能簡(jiǎn)單地通過(guò)不上網(wǎng)、不共享、不互聯(lián)互通來(lái)保安全，或者片面強調建專(zhuān)網(wǎng)。這樣做的結果只能是造成不必要的重復建設，大量網(wǎng)絡(luò )資源得不到充分利用，增加信息化的成本，降低信息化效益，失去發(fā)展機遇。這種“懶政”思維必須破除。要努力實(shí)現技術(shù)創(chuàng )新和體制機制創(chuàng )新，不斷形成維護網(wǎng)絡(luò )安全的新思路、新方法、新舉措、新本領(lǐng)。

基于實(shí)現先進(jìn)過(guò)程控制的相關(guān)要求，圖4是南通星辰先進(jìn)控制系統的部署方案。通過(guò)實(shí)施先進(jìn)控制，可以改善過(guò)程動(dòng)態(tài)控制的性能，減少過(guò)程變量的波動(dòng)幅度，使之能更接近其優(yōu)化目標值，從而將生產(chǎn)裝置推至更接近其約束邊界條件下運行，最終達到增強裝置運行的穩定性和安全性、保證產(chǎn)品質(zhì)量的均勻性、提高目標產(chǎn)品收率、增加裝置處理量、降低運行成本、減少環(huán)境污染等目的。

圖4 南通星辰先進(jìn)過(guò)程控制系統部署方案

2.2.4　項目示范的主要內容和目的

基于上述對南通星辰存在的信息安全問(wèn)題的詳細分析，項目示范的主要內容包括：

（1）根據南通星辰的DCS、PLC控制系統具體分布及應用情況，根據DCS、PLC設備的功能屬性及安全屬性將控制系統劃分成不同的安全區域，構建在安全管理中心支持下的計算環(huán)境、區域邊界、通信網(wǎng)絡(luò )三重防御體系；

（2）面向中國藍星南通星辰控制環(huán)境，在DCS/PLC系統中進(jìn)行防火墻、端點(diǎn)主機（操作站、工程師站、服務(wù)器等）入侵防御系統、入侵檢測系統、攻擊行為跟蹤分析系統、DCS/PLC網(wǎng)絡(luò )空間預警系統、安全態(tài)勢系統等系列安全可控產(chǎn)品的試點(diǎn)應用；

（3）通過(guò)強化分區、隔離防護、協(xié)議管控、入侵防御、可信計算、PKI/CA及安全審計等技術(shù)手段構建“縱深”安全防御體系，確保生產(chǎn)現場(chǎng)DCS、PLC等控制設備的本質(zhì)安全；

（4）驗證上述信息安全產(chǎn)品對DCS/PLC系統軟件、應用軟件、現場(chǎng)總線(xiàn)、工業(yè)以太網(wǎng)的技術(shù)影響，形成化工生產(chǎn)工業(yè)控制系統有針對性的有效安全防護策略，并制定化工行業(yè)內相關(guān)生產(chǎn)控制系統安全防護標準。

綜上所述，加強對工業(yè)控制系統的脆弱性的合作研究，提供有針對性的解決方案和安全保護措施，從而達到以下示范目的：

（1）源頭控制；

（2）分析檢測及防護；

（3）漏洞庫管理；

（4）自主知識產(chǎn)權安全產(chǎn)品驗證。

驗證以上工業(yè)控制安全產(chǎn)品對工業(yè)控制系統DCS/PLC保護能力，為化工生產(chǎn)領(lǐng)域常用的DCS/PLC系統的安全防護提供具有針對性的解決方案，建立工業(yè)過(guò)程控制系統安全標準體系，制定工業(yè)過(guò)程控制系統安全標準。

2.3　項目效果及應用

通過(guò)該示范應用工程，完成生產(chǎn)調度管理中心、主控系統（DCS/PLC）、監控系統、實(shí)時(shí)數據庫系統的安全防護應用示范。通過(guò)本項目的建設：

·提高南通公司DCS/PLC系統的抗攻擊能力、威脅預警能力；

·直觀(guān)的DCS/PLC系統安全態(tài)勢展現，提高系統的安全管理能力；

·對DCS/PLC系統的安全事件、程序行為等關(guān)聯(lián)分析；

·掌握攻擊威脅發(fā)起的地點(diǎn)、攻擊的類(lèi)型、攻擊的目的；

·保障DCS/PLC系統應急處置安全事件提供準確的決策依據；

·建立工業(yè)過(guò)程控制系統安全標準體系，制定工業(yè)過(guò)程控制系統安全標準。

3　項目建設方案

基于前述對于南通星辰化工生產(chǎn)控制系統現狀、信息化建設和應用現狀以及目前企業(yè)在信息安全存在問(wèn)題的詳細分析，南通星辰化工生產(chǎn)控制系統安全防護示范工程項目建設方案總體設計如圖5所示。

圖5 示范工程項目建設方案總體設計

3.1　設計思路

根據南通星辰的DCS、PLC控制系統及信息化生產(chǎn)運行管理流程，從縱向上根據功能屬性劃分四個(gè)層，確保生產(chǎn)現場(chǎng)DCS、PLC等控制設備的本質(zhì)安全，框架如圖6所示。

圖6 安全設計框架

為實(shí)現上述目標，參照“等?！比壪嚓P(guān)要求，在項目實(shí)施過(guò)程中具體要求采取的手段包括以下幾個(gè)方面：

（1）脆弱性分析與風(fēng)險評估識別系統的脆弱性、存在的安全威脅及安全風(fēng)險；

（2）通過(guò)建立網(wǎng)絡(luò )邊界區域隔離手段，構筑DCS、PLC控制系統安全的第一道防線(xiàn)；

（3）通過(guò)硬件隔離產(chǎn)品對生產(chǎn)網(wǎng)與管理網(wǎng)進(jìn)行單向傳輸、物理隔離，徹底阻斷外網(wǎng)基于以太網(wǎng)的攻擊；

（4）在生產(chǎn)網(wǎng)絡(luò )內部，不同的控制系統之間，在橫向上使用硬件隔離進(jìn)行安全防護，確?？刂葡到y的獨立性，從而構筑控制系統安全的第三道防線(xiàn)。

（5）現場(chǎng)控制設備防護，通過(guò)工業(yè)防火墻協(xié)議過(guò)濾，只允許指定的工業(yè)控制協(xié)議（如OPC、Modbus、DNP3等）及控制指令通過(guò)，建立協(xié)議的專(zhuān)用控制，構筑針對現場(chǎng)設備控制設備第四道防線(xiàn)；

（6）通過(guò)安全監測、入侵防御、審計分析等手段為南通星辰的工業(yè)生產(chǎn)保駕護航；

（7）通過(guò)SOC（安全管理中心）對生產(chǎn)監控網(wǎng)絡(luò )安全設備進(jìn)行統一安全管理、策略分發(fā)、統一監管、預警分析。

綜上所述，系統所采用技術(shù)框架如圖7所示。

圖7 技術(shù)框架

3.2　建設目標與主要建設內容

根據南通星辰網(wǎng)絡(luò )結構分為四個(gè)層次：生產(chǎn)管理層、MES層、監控層、控制層（現場(chǎng)層），參照ANSI/ISA-99 、GB/17859、GB/T25070等相關(guān)要求，將企業(yè)系統結構劃分成不同的區域可以幫助企業(yè)有效地建立“縱深防御”策略。區域與區域之間利用安全產(chǎn)品進(jìn)行策略控制，確保每個(gè)區域的相互獨立性，實(shí)現風(fēng)險的最小化和可控。

3.2.1　風(fēng)險與脆弱性評估

在項目中通過(guò)脆弱性評估及安全風(fēng)險分析手段，識別系統脆弱性及安全威脅與風(fēng)險來(lái)源：

（1）識別系統脆弱性

·網(wǎng)絡(luò )邊界結構；

·網(wǎng)絡(luò )區域邊界訪(fǎng)問(wèn)控制措施；

·針對病毒、蠕蟲(chóng)等惡意程序的安全防護措施；

·針對DCS、PLC設備、應用的惡意操作；

·安全事件監控、管理及相應機制。

（2）識別安全威脅與風(fēng)險來(lái)源

·未經(jīng)授權的訪(fǎng)問(wèn)；

·惡意代碼攻擊；

·拒絕服務(wù)攻擊；

·針對DCS、PLC系統通信攻擊；

·內部人員誤操作、惡意操作等。

3.2.2　邊界防護與訪(fǎng)問(wèn)控制

（1）生產(chǎn)管理網(wǎng)與MES網(wǎng)絡(luò )之間安全防護；

（2）MES網(wǎng)絡(luò )與監控網(wǎng)絡(luò )之間安全防護；

（3）DCS系統安全防護；

（4）PLC控制器安全防護；

（5）DCS工程師站與現場(chǎng)控制站之間的防護；

（6）入侵防御系統；

（7）網(wǎng)絡(luò )準入。

3.2.3　主機應用安全

（1）終端防病毒；

（2）可信計算；

（3）審計系統；

（4）工業(yè)控制系統漏洞掃描系統。

3.2.4　PKI/CA

由于南通星辰化工藝流程、生產(chǎn)配方、生產(chǎn)裝置以及特種產(chǎn)品數據的敏感性，所以布署一套PKI/CA系統，一方面通過(guò)數字證書(shū)來(lái)進(jìn)行相應權限分配，實(shí)現對DCS、PLC控制系統的分權管理及多因子驗證，另一方面由于南通星辰化工PI數據中心與藍星總使用專(zhuān)網(wǎng)實(shí)時(shí)通訊，數據保密性和完整性得不到有效保障，通過(guò)PKI/CA系統對網(wǎng)絡(luò )上傳的數據信息進(jìn)行加密和解密、數字簽名和簽名驗證。

3.2.5　無(wú)線(xiàn)安全接入

在相關(guān)測點(diǎn)處部署無(wú)線(xiàn)防火墻，根據AP或Station的安全屬性定制無(wú)線(xiàn)網(wǎng)絡(luò )準入規則，通過(guò)射頻信號阻止非法用戶(hù)接入，建立射頻安全區，提供具有物理安全、可信的無(wú)線(xiàn)網(wǎng)絡(luò )。

3.2.6　安全管理中心

在生產(chǎn)監控層布署安全管理中心，對生產(chǎn)控制網(wǎng)絡(luò )搜集所有安全信息，并通過(guò)對收集到各種安全事件進(jìn)行深層的分析，統計和關(guān)聯(lián)，及時(shí)反映被管理資產(chǎn)的安全基線(xiàn)，定位安全風(fēng)險，對各類(lèi)安全時(shí)間及時(shí)提供處理方法和建議的安全解決方案。功能如下：

（1）面向業(yè)務(wù)的統一安全管理；

（2）全面的日志采集；

（3）智能化安全事件關(guān)聯(lián)分析；

（4）全面的脆弱性管理；

（5）主動(dòng)化的預警管理。

3.2.7　物理安全

（1）針對南通星辰高危、涉密場(chǎng)所（例如：原料罐區、機密工藝設計圖紙存儲場(chǎng)所等）部署手機及移動(dòng)終端無(wú)源探測系統；

（2）機房、控制室出入口應安排專(zhuān)人值守并配置電子門(mén)禁系統，控制、鑒別和記錄進(jìn)入的人員；

（3）利用光、電等技術(shù)設置機房防盜報警系統；

（4）對關(guān)鍵控制設備、關(guān)鍵區域要實(shí)施電磁屏蔽。

3.3　系統運行

選擇南通星辰合成材料有限公司PBT、動(dòng)力車(chē)間DCS和PLC控制系統試點(diǎn)部署，進(jìn)行為期2個(gè)月的試運行，廠(chǎng)家工程師實(shí)時(shí)跟蹤獲取確切數據，確認安全產(chǎn)品無(wú)干擾DCS和PLC控制系統實(shí)時(shí)性能和系統的安全性。

作者簡(jiǎn)介

趙國新（1963-），男，遼寧鐵嶺人，教授，1985年7月畢業(yè)于遼寧工業(yè)大學(xué)，主修工業(yè)自動(dòng)化專(zhuān)業(yè)，獲得工學(xué)學(xué)士學(xué)位；1988年3月畢業(yè)于冶金部自動(dòng)化研究設計院，主修工業(yè)自動(dòng)化專(zhuān)業(yè)，獲得工學(xué)碩士學(xué)位?，F任北京石油化工學(xué)院自動(dòng)化系主任，主要研究方向是智能控制系統與工業(yè)大數據應用，工業(yè)控制系統信息安全。

摘自《工業(yè)控制系統信息安全專(zhuān)刊（第五輯）》